Das Wichtigste auf einen Blick
- Betroffen: Schema & Structured Data for WP & AMP (Plugin), bis Version 1.65
- Sicher: ab Version 1.66
- Bekannt seit: 14.09.2026
- Ninja Risiko-Score: 6 von 10 (mittel). Offizieller CVSS-Wert: 5,3 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 1.66, wenige Minuten
- Quelle: Wordfence, CVE-2026-82125
Seit dem 14. September 2026 sind zwei Sicherheitslücken in Schema & Structured Data for WP & AMP bekannt, betroffen sind alle Versionen bis Version 1.65. Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten, nicht irgendwann im Oktober.
Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten.
Was ist passiert
Das fieseste Einfallstor ist: Das Plugin prüft bei einer Anfrage nicht nach, ob der mitgeschickte Schlüssel überhaupt zum Absender gehört. Stell dir eine Garderobe vor, in der niemand kontrolliert, ob die Nummer auf dem Zettel wirklich zu deiner Jacke gehört. Wer eine Nummer errät, bekommt trotzdem etwas ausgehändigt.
Dafür braucht ein Angreifer keinen Login und keinen Klick von dir, deine Seite muss nur online sein. Er kann damit eine Aktion im Plugin auslösen, die ihm nicht zusteht. Um deine Daten auszulesen reicht es nicht, um etwas zu verändern schon.
Klingt unangenehm, ist aber in zwei Minuten erledigt. Version 1.66 schließt beide Lücken, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach Schema & Structured Data for WP & AMP
- Aktualisiere auf Version 1.66 oder höher (Anleitung: Plugins aktualisieren)
- Fertig
Mach das diese Woche, dann hast du es vom Tisch. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Zwei Lücken in einem einzigen Update, und das bei einem Plugin, an das die meisten nach der Einrichtung nie wieder denken. Genau diesen Teil übernehme ich in der WordPress Wartung. Ich verfolge die Meldungen, prüfe, ob dich eine davon überhaupt betrifft, und spiele das Update mit Backup davor ein. Du musst dafür nicht jede Woche in dein Plugin-Dashboard schauen.
Quelle: Wordfence, CVE-2026-82125
